View a markdown version of this page

GuardDuty Detección extendida de amenazas - Amazon GuardDuty
Ejemplos de escenarios de amenazas en la secuencia de ataqueCómo funciona la Detección Extendida de AmenazasHabilitar planes de protección para maximizar la detección de amenazasDetección de amenazas ampliada en la consola GuardDutyDescripción y administración de resultados de secuencias de ataquesRecursos adicionales

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

GuardDuty Detección extendida de amenazas

GuardDuty La detección extendida de amenazas detecta automáticamente los ataques en varias etapas que abarcan fuentes de datos, varios tipos de AWS recursos y tiempo, dentro de un Cuenta de AWS. Con esta capacidad, GuardDuty se centra en la secuencia de múltiples eventos que observa al monitorear diferentes tipos de fuentes de datos. La detección extendida de amenazas correlaciona estos eventos para identificar los escenarios que se presentan como una amenaza potencial para su AWS entorno y, a continuación, genera una búsqueda de la secuencia de ataques.

Ejemplos de escenarios de amenazas en la secuencia de ataque

La detección extendida de amenazas cubre los escenarios de amenazas relacionados con el uso indebido de AWS credenciales, los intentos de comprometer los datos en los buckets de Amazon S3 y los recursos de Kubernetes y contenedores en los clústeres de Amazon EKS. Un único resultado puede abarcar una secuencia de ataque completa. Por ejemplo, en la siguiente lista se describen los escenarios que se pueden detectar: GuardDuty

Ejemplo 1: AWS las credenciales y los datos del bucket de Amazon S3 están en peligro

  • Un actor de amenazas que obtiene acceso no autorizado a una carga de trabajo informática.

  • Luego, el actor realiza una serie de acciones, como aumentar los privilegios y establecer la persistencia.

  • Por último, el actor que extrae datos de un recurso de Amazon S3.

Ejemplo 2: Compromiso con el clúster de Amazon EKS

  • Un actor de amenazas intenta explotar una aplicación contenedora dentro de un clúster de Amazon EKS.

  • El actor usa ese contenedor comprometido para obtener tokens de cuentas de servicio privilegiadas.

  • Luego, el actor aprovecha estos privilegios elevados para acceder a secretos de Kubernetes o recursos de AWS confidenciales a través de las identidades de los pods.

Debido a la naturaleza de los escenarios de amenazas asociados, los GuardDuty Tipos de resultados de secuencias de ataque considera todos críticos.

En el siguiente vídeo se muestra cómo utilizar la Detección Extendida de Amenazas.

Funcionamiento

Cuando habilitas Amazon GuardDuty en tu cuenta en una cuenta específica Región de AWS, la detección extendida de amenazas también está habilitada de forma predeterminada. El uso de Detección Extendida de Amenazas no conlleva ningún costo adicional. De forma predeterminada, correlaciona los eventos en todos los Orígenes de datos fundamentales. Sin embargo, si habilitas más planes de GuardDuty protección, como S3 Protection, EKS Protection y Runtime Monitoring, se generarán más tipos de detecciones de secuencias de ataque al ampliar la gama de fuentes de eventos. Esto podría ayudar a realizar un análisis de amenazas más exhaustivo y a detectar mejor las secuencias de ataque. Para obtener más información, consulte Habilitar planes de protección para maximizar la detección de amenazas.

GuardDuty correlaciona varios eventos, incluidas las actividades y los hallazgos de la API. GuardDuty Estos eventos se denominan señales. En ocasiones, puede haber eventos en su entorno que, por sí solos, no se presenten como una amenaza potencial evidente. GuardDuty los califica como señales débiles. Con la detección extendida de amenazas, GuardDuty identifica cuándo una secuencia de acciones múltiples coincide con una actividad potencialmente sospechosa y genera una secuencia de ataque que encuentra en tu cuenta. Estas acciones múltiples pueden incluir señales débiles y GuardDuty hallazgos ya identificados en tu cuenta.

nota

Al correlacionar los eventos con las secuencias de ataque, la Detección Extendida de Amenazas no tiene en cuenta las conclusiones archivadas, incluidas las que se archivan automáticamente debido a Reglas de supresión. Este comportamiento garantiza que solo las señales activas y relevantes contribuyan a la detección de la secuencia de ataque. Para asegurarse de que esto no lo afecte, consulte las normas de supresión vigentes en su cuenta. Para obtener más información, consulte Uso de reglas de supresión con Detección Extendida de Amenazas.

GuardDuty también está diseñado para identificar posibles comportamientos de ataque recientes o en curso (dentro de un período de 24 horas consecutivas) en tu cuenta. Por ejemplo, un ataque podría comenzar cuando un actor accede involuntariamente a una carga de trabajo de cómputo. Luego, el actor realizaría una serie de pasos, que incluían la enumeración, el aumento de privilegios y la exfiltración de credenciales. AWS Estas credenciales podrían utilizarse para comprometer aún más los datos o acceder de forma malintencionada a ellos.

La detección ampliada de amenazas se activa automáticamente en todas las GuardDuty cuentas y evalúa de forma predeterminada las señales de todos los planes de protección habilitados en la cuenta. GuardDuty Las fuentes de datos fundamentales proporcionan señales importantes para la detección de varias secuencias de ataque. Por ejemplo, la detección básica de amenazas permite identificar una posible secuencia de ataque partiendo de la actividad de descubrimiento de privilegios de IAM en las API de Amazon S3 y detectar las alteraciones posteriores del plano de control de S3, como los cambios que hacen que la política de recursos de los buckets sea más permisiva. GuardDuty Sin embargo, otras secuencias de ataque requieren señales avanzadas que solo están disponibles en planes de protección avanzados, como la supervisión del tiempo de ejecución, la protección de S3 y la supervisión de los registros de auditoría de EKS.

Detección de secuencias de ataque en clústeres de Amazon EKS

GuardDuty correlacionó varias señales de seguridad entre los registros de auditoría de EKS, el comportamiento de los procesos en tiempo de ejecución y la actividad de las AWS API para detectar patrones de ataque sofisticados. Para beneficiarse de la Detección Extendida de Amenazas para EKS, debe habilitar al menos una de estas funciones: EKS Protection o el monitoreo del tiempo de ejecución (con el complemento EKS). EKS Protection supervisa las actividades del plano de control mediante registros de auditoría, mientras que Runtime Monitoring observa los comportamientos dentro de los contenedores.

Para obtener la máxima cobertura y una detección integral de amenazas, GuardDuty recomienda habilitar ambos planes de protección. Juntos, crean una vista completa de sus clústeres de EKS, lo que GuardDuty permite detectar patrones de ataque complejos. Por ejemplo, puede identificar un despliegue anómalo de un contenedor privilegiado (detectado con la protección EKS), seguido de intentos de persistencia, minería criptográfica y creación inversa de shell dentro de ese contenedor (detectado con Runtime Monitoring). GuardDuty representa estos eventos relacionados como un único hallazgo de gravedad crítica, denominado. AttackSequence:EKS/CompromisedCluster Al activar ambos planes de protección, los resultados de la secuencia de ataque abarca los siguientes escenarios de amenaza:

  • Compromiso de los contenedores que ejecutan aplicaciones web vulnerables

  • Acceso no autorizado mediante credenciales mal configuradas

  • Intentos de escalar los privilegios

  • Solicitudes de la API sospechosas

  • Intentos para acceder a los datos de forma malintencionada

La siguiente lista proporciona detalles sobre cuándo se activan estos planes de protección dedicados de forma individual:

EKS Protection

Al habilitar la protección EKS, se pueden detectar secuencias de ataque relacionadas con actividades del plano de control del clúster de Amazon EKS. GuardDuty Esto permite correlacionar GuardDuty los registros de auditoría de EKS y la actividad de la AWS API. Por ejemplo, GuardDuty puede detectar una secuencia de ataque en la que un actor intenta acceder sin autorización a los secretos del clúster, modifica los permisos del control de acceso basado en roles (RBAC) de Kubernetes y crea pods con privilegios. Para obtener información sobre cómo habilitar este plan de protección, consulte EKS Protection.

Runtime Monitoring de Amazon EKS

Al habilitar la supervisión del tiempo de ejecución en los clústeres de Amazon EKS, se puede mejorar la detección de las secuencias de ataque de EKS con GuardDuty una visibilidad a nivel de contenedor. Esto ayuda a GuardDuty detectar posibles procesos malintencionados, comportamientos sospechosos en tiempo de ejecución y posibles ejecuciones de malware. Por ejemplo, GuardDuty puede detectar una secuencia de ataque en la que un contenedor comienza a mostrar un comportamiento sospechoso, como la minería de criptomonedas o el establecimiento de conexiones con terminales maliciosos conocidos. Para obtener información sobre cómo habilitar este plan de protección, consulte Supervisión en tiempo de ejecución.

Si no habilitas la protección de EKS o la supervisión del tiempo de ejecución, no GuardDuty podrás generar o individuales. Tipos de resultados de la protección de EKS Tipos de resultados de la supervisión en tiempo de ejecución Por lo tanto, no GuardDuty podrá detectar secuencias de ataque en varias etapas que impliquen hallazgos asociados.

Detección de secuencias de ataques en los buckets de Amazon S3

La activación de S3 Protection permite GuardDuty detectar secuencias de ataque que impliquen intentos de comprometer los datos de los buckets de Amazon S3. Sin S3 Protection, GuardDuty puede detectar cuándo su política de recursos de cubos de S3 se vuelve demasiado permisiva. Al habilitar S3 Protection, GuardDuty adquiere la capacidad de detectar las posibles actividades de filtración de datos que pueden producirse cuando su bucket de S3 se vuelve demasiado permisivo.

Si S3 Protection no está habilitada, no GuardDuty podrá generar datos individuales. Tipos de resultados de la S3 Protection Por lo tanto, no GuardDuty podrá detectar secuencias de ataque en varias etapas que incluyan hallazgos asociados. Para obtener información sobre cómo habilitar este plan de protección, consulte S3 Protection.

Detección de secuencias de ataque en clústeres de Amazon ECS

GuardDuty puede identificar secuencias de ataque, como los procesos malintencionados, las conexiones a puntos finales malintencionados o los comportamientos de criptominería en los contenedores de ECS. Al correlacionar diversas señales entre la actividad de la red, el comportamiento en tiempo de ejecución de los procesos y la actividad de las AWS API, GuardDuty puede identificar patrones de ataque complejos que las detecciones individuales podrían pasar desapercibidos y mapear el vector de ataque completo.

GuardDuty representa estos eventos relacionados como un único hallazgo de gravedad crítica, denominado. AttackSequence:ECS/CompromisedCluster La búsqueda de la secuencia de ataque abarca los siguientes escenarios de amenaza:

  • Compromiso de los contenedores que ejecutan servicios vulnerables

  • Ejecución no autorizada de herramientas, malware o procesos de criptominería sospechosos

  • Intentos de escalar los privilegios

  • Comunicación con puntos finales sospechosos

importante

La detección extendida de amenazas para ECS requiere la supervisión del tiempo de ejecución para Fargate o EC2, según el tipo de infraestructura de ECS. La supervisión del tiempo de ejecución observa los comportamientos en los contenedores de ECS que se ejecutan en las instancias de Fargate y EC2. No se admite el ECS en las instancias EC2 administradas.

Detección de secuencias de ataque en grupos de instancias de Amazon EC2

GuardDuty puede identificar las secuencias de ataque que afectan a instancias individuales o a grupos de instancias que comparten atributos comunes, como los grupos de Auto Scaling, los perfiles de instancias de IAM, las plantillas de lanzamiento, las CloudFormation pilas, las AMI o los ID de VPC. Estas instancias pueden mostrar comportamientos sospechosos, como procesos malintencionados, conexiones a puntos de enlace malintencionados, minería de criptomonedas o un uso anormal de las credenciales de las instancias EC2.

La búsqueda de la secuencia de ataque detecta los siguientes escenarios de amenaza:

  • Compromiso de las instancias que ejecutan servicios vulnerables

  • Uso de credenciales de instancia de Amazon EC2 obtenidas mediante IMDS desde fuera de la AWS cuenta a la que se emitieron las credenciales

  • Úselo como infraestructura para ataques como el proxy, el escaneo o la denegación de servicio

  • Ejecución no autorizada de herramientas sospechosas, malware o procesos de criptominería

  • Comunicación con puntos finales sospechosos

La detección ampliada de amenazas ayuda a identificar estas amenazas. GuardDuty representa estos eventos relacionados como un único hallazgo de gravedad crítica, denominado. AttackSequence:EC2/CompromisedInstanceGroup

Para mejorar la detección ampliada de amenazas para las capacidades de detección de EC2, habilite la supervisión del tiempo de ejecución. La combinación de Foundational GuardDuty, que monitorea la actividad de la red, CloudTrail y Runtime Monitoring, que observa el comportamiento de los procesos y las llamadas al sistema dentro de las instancias, proporciona una detección de amenazas más completa. Esta supervisión integrada permite GuardDuty detectar secuencias de ataque sofisticadas, como el acceso no autorizado mediante credenciales mal configuradas, los intentos de escalada de privilegios y el acceso no autorizado a datos confidenciales. Al correlacionar estas diversas señales, GuardDuty puede identificar patrones de ataque complejos que las detecciones individuales podrían pasar desapercibidos y mapear el vector de ataque completo.

Detectar secuencias de ataque que involucran cargas de trabajo de IA

Protección de la IAActívala para ayudar a GuardDuty detectar las secuencias de ataque que ponen en peligro las cargas de trabajo de IA de tu cuenta. AI Protection analiza AWS CloudTrail los eventos de datos de Amazon Bedrock y Amazon SageMaker AI. Puede detectar actividades como la invocación de modelos anómalos, los ataques de recolección de costes y los intentos directos de inyección inmediata.

Para añadir señales de tus cargas de trabajo de IA a las secuencias de AttackSequence:IAM/CompromisedCredentials ataque, debes activar la protección de la IA. GuardDutyA continuación, puede utilizar los siguientes tipos de búsqueda como señales de correlación:

Por ejemplo, un actor de amenazas podría usar las mismas AWS credenciales potencialmente comprometidas para invocar un modelo anómalo de Amazon Bedrock o Amazon SageMaker AI. GuardDuty puede correlacionar esa invocación con otras acciones sospechosas realizadas con esas credenciales. A continuación, las representa como una única búsqueda de secuencia de AttackSequence:IAM/CompromisedCredentials ataque. Por sí solos, los resultados de la protección de la IA no generan una secuencia de ataque.

Si la protección de IA no está habilitada, GuardDuty no se puede generar una personaTipos de hallazgos de AI Protection. Por lo tanto, GuardDuty no se pueden detectar las secuencias de ataque de varias etapas que impliquen estos hallazgos. Para obtener información sobre cómo habilitar este plan de protección, consulte Protección de la IA.

Detección de amenazas ampliada en la consola GuardDuty

De forma predeterminada, la página de detección extendida de amenazas de la GuardDuty consola muestra el estado como habilitada. En el caso de la detección básica de amenazas, el estado indica que GuardDuty puede detectar una posible secuencia de ataque que implique la actividad de descubrimiento de privilegios de IAM en las API de Amazon S3 y la detección de alteraciones posteriores en el plano de control de S3.

Siga los pasos siguientes para acceder a la página de detección de amenazas ampliadas de la consola: GuardDuty

  1. Puede abrir la GuardDuty consola en https://console.aws.amazon.com/guardduty/.

  2. En el panel de navegación izquierdo, elija Detección Extendida de Amenazas.

    Esta página proporciona detalles sobre los escenarios de amenazas que cubre la Detección Extendida de Amenazas.

  3. En la página Detección Extendida de Amenazas, consulte la sección Planes de protección relacionados. Si desea habilitar planes de protección dedicados para mejorar la cobertura de detección de amenazas en su cuenta, seleccione la opción Configurar para ese plan de protección.

Descripción y administración de resultados de secuencias de ataques

Los resultados de la secuencia de ataque son iguales a los del resto de GuardDuty los resultados de tu cuenta. Puedes verlos en la página de resultados de la GuardDuty consola. Para obtener información sobre cómo ver los resultados, consulte Página de hallazgos en la GuardDuty consola.

Al igual que otros GuardDuty hallazgos, los resultados de la secuencia de ataque también se envían automáticamente a Amazon EventBridge. Según su configuración, los resultados de la secuencia de ataques también se exportan a un destino de publicación (bucket de Amazon S3). Para establecer un nuevo destino de publicación o actualizar uno existente, consulte .Exportar los resultados generados a Amazon S3

Recursos adicionales

Consulte las siguientes secciones para comprender mejor las secuencias de ataque: